一、一个困扰我很久的问题

业务部门火急火燎地抛来一个问题：「我们在越南上线会员体系，当地对数据跨境传输有什么要求？」或者「韩国和新加坡在数据泄露通知时限上差多少？」

这类问题可能不复杂，但很具体。你需要快速知道：当地法律怎么规定的、监管机构有没有出过相关指引、实务中是怎么执行的。不是要一篇学术论文，而是要一个可以拿来用的、有据可查的合规判断。

过去怎么解决？大致三条路。

第一条路：查海外合规数据库。 DataGuidance、OneTrust……这些数据库确实好用，结构清晰，信息准确。但它们的问题是：贵且需要信用卡外币支付。企业级订阅动辄几千到上万美元一年，而且需要使用者本身对数据库的检索逻辑比较熟悉。现实的问题是，中小企业的法务团队不一定有这笔预算，公司的采购流程也不一定可以快速响应。

第二条路：问外部律所。 发一封邮件给合作律所说清楚问题，等他们出一份memo或简要的cover email。这条路的好处是结果可靠，但坏处也很明显——费用和时间。一个简单的法域基础要求查询，外部律所的报价通常在几千到几万美元不等， turnaround time少则三五天，多则一两周。而且在法域跨度较大的场景中，单一律所可能无法第一时间提供当地调研的支持，甚至需要与当地律所再建立沟通，来回报价。这不是解决「高频、快速」需求的方式。

第三条路：自己搜。 打开搜索引擎，拼凑各种来源。效率取决于你本身的经验储备——如果你对这个法域已经有基础认知，知道该搜什么关键词、去哪里找官方原文，可能半小时能搞定。但如果是一个你完全陌生的法域，光是搞清楚「哪部法律是现行的、监管机构是谁」，可能就要花半天。

这三条路都有各自的合理性，但对于日常高频的调研需求来说，它们都太重了。

这就是我开发这个技能的出发点。

二、这个技能想做什么

简单说：把海外数据合规调研这件事，做到「问一个问题，很快能拿到一个有出处的、结构化的回答」。

它不是一个万能的合规引擎，也不是要替代外部律所的专业意见。它的定位更接近一个随时在线的调研助手——帮你快速建立一个法域的基础认知框架，让你在面对业务部门的提问或者紧迫的评估需求时，不至于从零开始。

为了实现这个目标，我把自己做海外合规调研的实务经验结构化地沉淀了下来。具体来说，技能的设计借鉴了两个东西：

一是海外合规数据库的知识呈现结构。 用过DataGuidance的人都知道，它之所以好用，是因为有一套标准化的调研清单——每个法域都按同样的维度去梳理：法律法规、监管机构、适用范围、核心定义、合法基础、跨境传输、数据泄露、数据主体权利……这套结构的好处是，你不会漏掉重要的维度，也方便跨法域横向比较。

二是实务调研中的信源判断逻辑。 做海外合规调研，最难的不是找到信息，而是判断信息的可靠性。一部法律的最新修订版到底是不是现行有效的？一篇律所blog里的说法有没有官方依据？一个监管机构的执法案例能不能代表通行做法？这些判断需要经验，也需要一套系统化的信源优先级规则。

基于这两点，技能设计了三种模式，覆盖不同的调研场景。

三、三种模式，解决三种不同的问题

模式A：我要了解一个法域的完整数据保护法律框架

使用场景：公司准备进入一个新市场，需要对这个法域的数据保护法律做一次全面摸底。

比如你说「帮我调研一下泰国的完整数据保护法律框架」，技能会按照19项标准清单逐一展开：法律法规、监管机构、适用范围、核心定义、透明性要求、合法基础（区分一般数据与敏感数据）、未成年人保护、备案登记、DPO要求、处理活动记录、隐私影响评估、跨境传输、数据安全、供应商管理、数据泄露通知、数据主体权利、直接营销、Cookie与在线追踪。

输出形式是结构化的文字备忘录，风格类似DataGuidance的country overview——每个话题下分小节，每个结论附法条原文和来源链接。法务人员拿到之后，可以直接用于该国数据合规立法和监管宽松程度的初步判断或作为进一步深入调研的起点。

模式B：我要了解某法域在某个具体问题上的法律要求

使用场景：业务部门问了一个具体问题，比如「韩国的数据跨境传输有什么合规要求？」或者「日本对Cookie追踪有什么规定？」

这时候不需要做全景扫描，只需要聚焦到具体议题。模式B的做法是：先将你的问题映射到标准清单中对应的模块，然后按照该模块的完整框架进行深度检索和输出。

比如你问「越南对数据泄露通知有什么要求」，技能会定位到数据泄露（Data Breach）模块，把泄露定义、向监管机构通知（时限、内容、流程）、向受影响个人通知（时限、内容、触发条件）、违规处罚等全部展开，而不只是给一段笼统的概括。

模式C：我要对比两个或多个法域在某个问题上的差异

使用场景：公司同时在几个市场上线同一个功能，需要横向比较各地的合规要求差异，以便设计统一的合规方案或做本地化调整。

比如你说「对比新加坡、泰国和马来西亚在数据跨境传输上的要求」，技能会分别检索三个法域在该议题上的完整要求，然后输出一个对比表格——纵向是合规模块，横向是法域，差异一目了然。表格之后附关键差异分析，重点标注透明性义务、同意获取要求、跨境合规机制、数据处理协议等维度的实质性差异，每个差异点附法条原文。

四、关于可靠性：如何避免AI幻觉

任何一个做过合规调研的人都知道，海外法律调研最大的风险不是「搜不到」，而是「搜到了但不确定对不对」。一部法律的修订版到底有没有生效？一个条款在实务中是不是已经被执法实践实质修改了？一篇顶级律所的分析文章引用的是不是现行有效的法条？

这些问题如果靠搜索引擎拼凑，答案往往是不确定的。而如果AI调研工具不能解决可靠性问题，那它就没有任何实际价值——因为法务工作的前提是「有据可查」，不是「大概如此」。

所以这个技能在设计上做了几个关键约束，来尽可能降低「AI幻觉」的风险。

第一，信源优先级制度。 检索必须遵循明确的信源层级：法规原文（L1）和监管机构文件（L2）优先于顶级律所评述（L3），律所评述优先于学术论文和行业报告（L4），自媒体和行业博客（L5）仅作为参考线索，不得作为权威依据。最终输出的每一条结论，都会标注它来自哪个层级的信源。

第二，确定性标注系统。 每一条法律结论都会标注确定性级别：

• 法律明文规定：有明确的法条原文支撑

• 实践观点：来自律所或学术分析，非官方口径

• 需进一步核实：无法通过官方信源确认，建议向当地律所验证

这意味着你在拿到调研结果的时候，一眼就能看出哪些结论是「铁板钉钉的法律条文」，哪些是「业内通行但需要自己再确认的判断」。

第三，原文引用强制要求。 技能要求每一个合规要求的输出，必须同步附带法条法规原文，或者明确说明该结论仅为业内实务观点并标注出处。不会出现「根据相关法律规定」这种含糊其辞的说法——必须告诉你具体是哪部法律的哪一条，原文是什么。

第四，严禁编造法条。 如果检索无法确认某个条款是否存在，技能会直接标注 ⚠️并说明「需进一步向当地律所核实」，而不是给你一个看起来很像那么回事的答案。法务工作的底线是：宁可告诉你「这个点我不确定」，也不能编造一个法条让你拿去交差。

第五，法律时效校验。 引用的法律必须确认是现行有效版本。如果一个法域最近刚完成修法，检索必须覆盖最新动态，不能拿废止的旧版法条来说事。

五、它不能做什么

最后说几个边界，因为这些同样重要。

它不是法律意见。 调研结果可以作为你形成合规判断的基础材料，但不能替代正式的法律意见。在涉及高风险决策或需要对外出具意见的场景下，仍然建议结合外部当地律所的专业判断。

它不能替代动态的法律跟踪。 法律是在持续变化的。这个技能的检索基于实时的联网搜索（需要调用技能的ai开启联网搜索），会尽量覆盖最新修订和动态，但它不能保证100%实时同步每一个法域的最新修法进展。

它的覆盖范围有重点。 目前预设的法域覆盖中国大陆、香港、澳门、新加坡、马来西亚、泰国、菲律宾、越南、印尼、韩国、日本、美国加州和欧盟。如果你的目标法域不在清单内，技能也支持动态扩展——但坦诚地说，预设清单内的法域调研质量会更高，因为针对这些法域，技能在调试阶段已经做了更精细的检索策略优化。

它解决的是「从0到60分」的问题。 帮你快速建立一个法域的基础认知，让你从「完全不了解」到「知道关键规则在哪、核心要求是什么」。但从60分到90分的深度调研——比如具体执法案例分析、灰色地带的实务判断、与特定商业场景的适配性分析——仍然需要人工深入。

六、写在最后

做海外数据合规工作的人，大概都体会过一种感觉：问题不难，但找答案的过程很累。

业务部门问的每一个问题，拆开来都不算复杂。但你得花大量时间在「找到信息、确认可靠性、整理成结构化结论」这些事情上。这些事情本身不产生判断价值，但却是做出判断的前提。

这个技能，就是希望把这些可标准化的调研工作交给工具，让法务可以把时间花在真正需要人类判断的地方——比如这个调研结论放到我们的业务场景里意味着什么、风险等级怎么判断、合规方案怎么设计。

它不完美，也不能替代所有的传统路径。但对于那些「需要一个快速、有出处的初步答案」的场景，我希望它能成为一个有用的补充。

技能已上架Coze技能商店，技能地址请见：https://www.coze.cn/skills?skill_share_pid=7651163796421132330

---

下一场直播会先聚焦 DPA 审核场景，欢迎预约。

海外数据合规调研这个 skill 的作者直播演示，我们后续也会持续安排；到时会围绕真实调研问题，展示从提问、检索、信源判断到结构化输出的完整过程。

说明：本文件为公众号渲染试稿，建议在浏览器中打开后复制渲染结果，再粘贴到公众号编辑器。